NodeJS Google OAuth2本地正常，部署至Heroku后无法获取用户数据

问题定位 #

本地运行正常，Heroku部署后登录回调流程完成但req.user为空，核心原因是跨域会话Cookie无法正确传递以及生产环境下的会话配置缺失。

具体修复步骤 #

1. 修正Express Session配置 #

Heroku运行在HTTPS环境下，默认session cookie配置无法适配跨域场景，需补充以下关键属性：

app.use(session({
    secret: process.env.SESSION_SECRET || "your-strong-secret", // 建议用环境变量存储密钥，避免硬编码
    resave: false,
    saveUninitialized: false, // 关闭空会话创建，提升安全性
    proxy: true,
    cookie: {
        secure: process.env.NODE_ENV === "production", // 生产环境强制开启secure（仅HTTPS下发送cookie）
        sameSite: process.env.NODE_ENV === "production" ? "none" : "lax", // 跨域场景需设为none
        maxAge: 24 * 60 * 60 * 1000 // 设置cookie有效期，可选
    }
}))

注意：sameSite: "none"必须配合secure: true使用，否则浏览器会拒绝接收该cookie。

2. 使用绝对路径作为Google OAuth回调地址 #

相对路径在生产环境可能出现解析错误，改用Heroku应用域名构造绝对URL：

// 在passport的GoogleStrategy配置中修改callbackURL
callbackURL: `${process.env.HEROKU_APP_URL}/auth/google/callback`,

需在Heroku后台的环境变量中添加HEROKU_APP_URL，值为你的应用完整域名（如https://your-app-name.herokuapp.com）。

3. 确保CORS与前端请求的凭证传递配置 #

确认CORS的origin精确匹配前端域名，同时前端请求需携带凭证：

app.use(cors({
    origin: 'https://mygithubpages.github.io', // 精确匹配前端页面域名
    methods: 'GET, POST, PUT, DELETE',
    credentials: true,
    exposedHeaders: ['Set-Cookie'] // 确保前端能读取cookie相关响应头
}));

前端React请求时需开启凭证携带：

fetch('https://your-heroku-app-url/auth/login/success', {
    credentials: 'include'
})

4. 排查Helmet安全头的影响 #

Helmet默认的安全策略可能阻止跨域cookie传递，可暂时禁用Helmet测试，或针对性调整配置：

// 若测试确认是Helmet导致，可关闭部分限制策略
app.use(helmet({
    crossOriginEmbedderPolicy: false,
    contentSecurityPolicy: {
        directives: {
            defaultSrc: ["'self'", "accounts.google.com"],
            scriptSrc: ["'self'", "accounts.google.com"],
            // 根据需求添加其他允许的源
        }
    }
}));

5. 替换内存会话存储（长期优化） #

express-session默认的内存存储在Heroku多实例或重启时会丢失会话，建议改用持久化存储（如connect-redis），但这并非当前问题的直接原因。

验证步骤 #

1. 重新部署Heroku应用，确认环境变量配置正确
2. 登录后查看浏览器开发者工具的Application -> Cookies，检查是否存在会话cookie
3. 调用/auth/login/success接口，验证是否返回用户数据

内容的提问来源于stack exchange，提问作者Tobey Hainge